유출대응·권리보장·책임입증

아직 몇 명인지 모른다는 이유로 아무에게도 알리지 않는다면

문화강좌 센터가 개인정보를 처리하는 서버에 불법 접근이 있었음을 알게 됐다. 유출이 의심되지만 누구의 정보인지 아직 특정하기 어렵다. 담당자가 ‘명단이 완성되면 알리자’며 기다리면, 그동안 이용자는 비밀번호를 바꾸거나 의심 연락에 대비할 기회를 놓친다. 반대로 확인하지 않은 항목을 전부 유출됐다고 단정해서 알리는 것도 정확한 대응이 아니다.

이 절은 확인된 사실과 불확실성을 나누고 피해 제한, 정보주체 통지, 기관 신고와 권리 요청을 각각 처리하는 방법을 가르친다. 사례의 날짜·인원·응답은 자체 교육용이며 실제 사고 신고나 특정 기관의 적법성 승인 기록이 아니다. 적용 법령은 2026-09-11 시행 본문을 기준으로 읽고, 실제 사건은 발생·인지 시점과 적용례를 다시 확인한다.

수집 뒤의 권리와 사본까지 책임진다

개인정보 생명주기는 목적·역할·사본과 종료를 연결했다. 통지하거나 삭제 명령을 보낸 것과 실제 대상에게 알리고 사본까지 처리한 것은 다르다. 여기서는 그 차이를 사건·권리 요청별 근거와 결과로 확인한다.

1. 대응의 책임과 완료 근거를 연결한다

개인정보 사건·권리 대응은 침해 사실과 법정 가능성, 정보주체의 요구를 구별하여 피해 제한·통지·신고·권리 조치를 수행하고 그 근거·기한·실제 결과를 입증 가능하게 남기는 활동이다.

책임입증은 문서 수를 늘리거나 개인정보 전체를 증적에 복사하는 일이 아니다. 누가 어느 사실을 언제 알았고, 어떤 규정·정책으로 판단하여 어떤 대상에게 무엇을 했으며 무엇이 아직 남았는지 설명하는 것이다. 실수나 미확인을 기록에서 지워 겉으로 완료시키지 않는다. 기술 대응이 끝났어도 통지 누락이나 권리 요청 미처리가 남을 수 있다.

2. 실제 유출등·법정 가능성·기관 신고를 구별한다

2026-09-11 시행 법 제34조는 실제 유출등의 통지, 대통령령이 정한 유출등의 가능성 통지, 피해 최소화 조치, 기관 신고를 구분한다. 이 판본의 유출등은 종전의 분실·도난·유출에만 한정하지 않고 위조·변조·훼손까지 포함한다. 정확한 적용은 사건의 사실과 법 제23조제2항·제34조 및 부칙을 함께 확인한다.[PV-C10]

법정 가능성에는 두 경우가 있다. 첫째는 개인정보처리시스템이나 취급자의 처리 기기에 불법 접근이 발생하여 유출등이 의심되지만 정보주체 특정이 곤란한 경우다. 둘째는 위법한 제3자 거래 등 일부 유출등이 확인되고 다른 사람의 정보도 유출등이 되었을 수 있다고 인정되는 경우다. ‘수상한 메시지를 받았다’는 모든 경우를 자동으로 같은 의무로 분류하지 않고, 해당 요건과 인지 근거를 남긴다.[PV-C10]

실제 유출등은 법 제34조제1항의 지체 없는 통지와 시행령 제39조의 원칙적 72시간 이내 규칙을 함께 읽는다. 법정 가능성은 시행령 제39조의2 각 경우의 인지 시점부터 제39조의3에 따라 72시간 이내 통지한다. 72시간은 원인 분석을 끝낼 때까지 아무 조치 없이 기다리라는 유예가 아니다. 통지 종류별 예외·추가 통지와 대체 방법은 아래처럼 따로 확인한다.[PV-C10]

천 명 미만이면 아무 조치도 안 해도 되는가

시행령 제40조의 기관 신고는 실제 유출등이 있고, 1천 명 이상이거나 민감정보·고유식별정보이거나 외부의 불법 접근에 의한 경우 중 하나에 해당하는지 판단한다. 원칙적으로 알게 된 때부터 72시간 이내다. 1천 명은 모든 통지와 대응에 공통인 최소 인원이 아니다. 신고 조건을 충족하지 않는다고 정보주체 통지와 피해 제한까지 없어진다고 쓰지 않는다.[PV-C10]

자체 사례 PV-B2는 일반 개인정보이고 민감·고유식별정보가 아니며 외부 불법 접근도 아닌 오발송을 가정한다. 권익 침해 가능성의 현저한 감소 등 신고 예외는 적용하지 않는다고 명시한다. 999명이라면 제시한 세 신고 조건에 해당하지 않지만 실제 유출등 통지는 별도로 판단한다. 같은 조건의 1000명은 규모 조건으로 신고 대상이다. 인원이 1명이어도 건강정보 유출이나 외부 불법 접근에 의한 유출이면 각각 다른 신고 조건을 충족할 수 있다.

신고에는 천재지변 등 기한 준수가 곤란한 사유와, 경로 확인 후 회수·삭제 등으로 권익 침해 가능성이 현저히 낮아진 경우의 예외가 있다. 어떤 파일을 삭제했다는 자체 보고만으로 예외를 자동으로 적용하지 않는다. 실제 요건·피해 가능성과 판단 근거를 확인한다. 예외 판단과 신고 조건이 불명확하면 담당자가 즉시 법규·사실 확인과 기관 상담을 진행하고 확인 책임과 시각을 남긴다.[PV-C10]

확인이 덜 됐을 때와 판단이 바뀌었을 때

실제 유출등의 항목·시점·경위가 구체적으로 확인되지 않았어도 확인된 내용과 필요한 보호 정보를 우선 통지하고 추가 확인 내용을 즉시 알려야 한다. 현행 실제 통지에는 피해를 줄이는 방법, 대응·구제 절차, 연락처뿐 아니라 손해배상·법정손해배상·분쟁조정 등 법적 권리와 행사 방법도 포함된다. 구체적인 발생 가능 피해에 맞게 작성하며 아직 확인하지 못한 손해를 확정하지 않는다.[PV-C10]

가능성 통지는 가능성이 있는 항목, 의심·인정되는 시점과 경위, 피해 예방·대응·연락 정보 및 확정 시 추가 통지한다는 사실을 담는다. 가능성 통지 기한 안에 실제 유출등을 확인하면 실제 유출등 통지로 갈음한다. 가능성을 통지한 뒤 실제 유출등이 없었다고 확인되면 그 사실도 즉시 알린다. 처음 판단과 후속 확인을 모두 남기고 앞의 안내를 조용히 지우지 않는다.[PV-C10]

실제 통지의 긴급 확산방지 조치 예외와 가능성 통지의 천재지변 등 예외를 서로 복사하지 않는다. 통지 예외가 기관 신고 기한까지 자동 중단시키는 것도 아니다. 연락처를 알 수 없는 등 정당한 사유가 있을 때의 30일 이상 홈페이지 게시 등 대체 방법과, 연락처를 알면서 편의상 게시만 하는 경우도 구별한다. 일괄 전자우편은 다른 수신자 주소를 노출하지 않게 발송하고 반송·누락을 확인한다.[PV-C10]

3. 직접 계산: 서로 다른 인지 시점과 처리 기록

자체 사건 PV-B1의 모든 시각은 한국 표준시이며 각 인지 사실이 요건을 충족한다고 확인된 가정이다. 특별한 기한 예외는 없다. 72시간 계산은 연속된 시간의 산술 예이며 실제 법적 기간 판단의 모든 특례를 설명하는 예는 아니다.

가능성 인지부터 72시간은 9월 22일 09:00까지다. 실제 유출등 인지부터 72시간은 9월 23일 15:00까지다. 그러나 이 사례는 각각 2시간·1시간 뒤 조치하여 기다리지 않는다. 뒤에 실제 유출을 확인한 시각으로 이미 발생한 가능성 통지의 인지 기록과 지연을 없애지 않는다. 아직 가능성 통지를 하지 않은 채 기한 안에 실제 유출을 확인한 경우에는 앞의 갈음 규칙을 적용하며 단순히 모든 시계를 다시 시작한다고 가정하지 않는다.

실제 유출 대상은 1명이어도 외부 불법 접근이라는 신고 경로 조건을 충족한다. 가능성 통지의 범위는 그 1명과 자동으로 같지 않으며 당시 정황에 따른 영향 가능 범위를 따로 확인한다. 통지 대상 수, 실제 확인 인원, 발송 성공 수와 기관 신고 건수는 서로 다른 분모다.

피해를 제한하면서 통지·신고·권리 대응을 병행한다

담당자는 승인된 범위에서 노출 경로를 차단하고 계정·키·사본과 관련 기록을 보호한다. 조사에 필요한 근거를 없애려고 모든 로그를 지우지 않으며, 보존이라는 이유로 불필요한 개인정보를 제한 없이 복제하지 않는다. 피해 제한과 증거 보존의 충돌은 필요한 범위·승인·변경 이력으로 조정한다.

4. 열람·정정·삭제·처리정지의 요구를 구별한다

법 제35조부터 제38조와 시행령은 열람, 정정·삭제, 처리정지·동의 철회와 그 절차·제한을 구분한다. 요구자가 본인 또는 정당한 대리인인지 확인하되 권리 행사를 수집 때보다 불필요하게 어렵게 만들지 않는다. 계정이 없어진 사람에게 로그인만 요구하거나 필요 이상의 신분증 자료를 일반 문의 게시판에 올리게 하지 않는다.[PV-C11]

열람은 원칙적으로 요구를 받은 날부터 10일 내 열람할 수 있게 하며 정당한 연기·제한·거절의 요건과 안내를 확인한다. 정정·삭제 및 처리정지 요구도 해당 시행령의 10일 내 조치 사실·이유·이의제기방법 등의 결과 통지를 확인한다. 모든 종류의 권리 요청과 자동화된 결정에 대한 요구까지 같은 10일 규칙이라고 확대하지 않는다.[PV-C11]

삭제 요구에는 다른 법령이 수집 대상으로 명시한 경우 등 적용되는 제한을 확인한다. 처리정지에도 법정 의무·다른 사람의 이익·계약 이행 등 조문의 요건을 개별적으로 대조한다. ‘업무에 필요하다’는 표제만으로 일괄 거절하거나, 동의를 철회했다고 다른 독립된 법적 근거의 모든 기록을 자동으로 파기하지 않는다. 정정·삭제 요구를 받고 필요한 조치를 완료하기 전의 이용·제공 제한도 법 제36조에 따라 확인한다.[PV-C11]

가명정보, 개인정보 전송 요구와 자동화된 결정 관련 권리는 별도 대상·예외·기한을 가진다. 이 절의 일반 삭제 사례를 그대로 적용하지 말고 해당 제28조의7·제35조의2·제37조의2와 하위규정을 확인한다. 현재 요청의 종류를 먼저 분류하는 것이 어떤 권리든 무조건 받아들이거나 거절하는 것보다 중요하다.[PV-C11]

직접 판정: 요청 종결과 파기 완료는 같은 숫자가 아니다

자체 원장 PV-R1은 본인·대상과 사실관계가 확인된 독립된 일반 삭제 요구 10건이다. 요청당 필요한 사본 처리를 모두 확인해야 파기 완료로 세고, 결과 통지까지 완료해야 요청을 종결한다. 법적 제한은 실제 해당 조문과 기록이 확인됐다는 교육용 가정이며 센터 기록의 보존기간을 이 표가 새로 정하지 않는다.

이 원장의 응답 종결은 9/10=90%, 실제 파기 완료는 7/10=70%다. 제한 사유를 적법하게 안내한 두 건을 삭제 성공으로 세지 않는다. 반대로 실제 제한 근거가 없는 거절을 편의상 종결로 올려서도 안 된다. 수탁자 확인이 없는 한 건은 명령 발행이나 자동 접수 응답만으로 완료되지 않으며 적용 기한 안에 조치·안내해야 한다.

파기했다고 통지한 자료가 백업 복구나 수탁자의 명단에서 다시 쓰이는지도 확인한다. 최소한의 요청 ID·판단 근거·처리 시각·대상 위치·실패와 결과 통지를 기록하되 원래 개인정보 전체를 삭제 증명용으로 재보관하지 않는다. 새 증거로 제한 판단이 틀렸다면 이유와 변경 결과를 남기고 바로잡는다.

5. 실제 운영안 PV-R2를 확정한다

업무 책임자는 피해 제한과 정상 서비스 유지 범위를 결정한다. 보안 담당은 인지 사실·시각·접근 경로·영향 범위를, 개인정보 담당은 통지·신고·권리 요건과 대상·기한을 각각 기록한다. 운영·개발 담당은 경로 차단과 실제 수정·권한·사본 처리를 수행한다. 안내 담당은 승인된 최신 사실과 대응·구제 정보를 전달하고 반송·추가 통지를 확인한다. 검토자는 근거 없는 완료·누락·확인 지연을 점검한다.

통지·신고 대장은 사건 ID, 요건별 인지 시각, 적용 판본, 확인된 사실과 미확인, 대상 범위, 담당, 기한, 발송·접수 증거, 추가 확인을 분리한다. 권리 대장은 요청 종류·본인 확인·해당 기록·제한 근거·실제 처리·결과 통지를 연결한다. 하나의 ‘고객 연락 완료’ 표시로 통지·신고·권리 처리를 합치지 않는다.

최종 조사까지 무조건 기다리는 대안은 가능성 통지·우선 통지와 피해 예방을 놓치므로 기각한다. 모든 신고에 1천 명 기준만 적용하는 대안, 홈페이지에만 게시하고 개별 통지를 끝내는 대안, 수탁자 삭제 명령을 곧 실제 삭제로 세는 대안도 기각한다. 예외는 실제 법적 요건과 사실·담당 판단을 기록한 경우에만 사용한다.

연습은 가능성에서 실제 유출 확인·유출 없음 확인으로 전환되는 경우, 999/1000명·민감정보·외부 불법 접근, 반송·확인 지연, 본인 확인 실패, 법적 제한의 부재와 수탁자 사본 미확인을 포함한다. 안내 내용과 실제 사실이 다르거나 불허 접근이 계속되면 해당 운영 상태를 종결하지 않고 수정·추가 안내·재시험한다. 대응 보고는 실제 확인 범위의 완료와 남은 피해·권리 과제를 구분한다.

가장 늦은 시각으로 인지 시각을 바꾸지 않는다

불법 접근의 인지, 실제 유출 확인, 경영진 보고, 조사 종료는 서로 다른 사건이다. 경영진에게 뒤늦게 보고했다는 이유로 앞의 법정 인지 시각을 지우지 않는다. 시각과 요건이 불명확하면 근거와 범위를 조사하되 가장 유리한 시각으로 임의 확정하지 않는다.

발송 성공은 정보주체가 읽고 이해했다는 증거와 다르며, 신고 접수는 사고 해결의 승인이 아니다. 권리 제한 통지 역시 영구 보관 허가가 아니다. 확인 가능한 결과와 다음 확인을 남겨야 뒤의 담당자가 사실을 이어받을 수 있다.

개인정보보호 범위를 보조하는 역할

이 절은 실제 유출등·법정 가능성·기관 신고와 정보주체 요구를 구별하여 담당·기한·결과를 연결한다. 대상은 문화강좌 서비스의 사건 사실·통지·신고와 일반 삭제 요구다. 인지와 확정, 통지와 신고, 종결과 파기의 경계를 나누며 미확인·누락·반송·잘못된 제한을 재확인한다. 모든 특별법·법정 기간 특례·판례·개별 사건의 적법성·전송 및 자동화된 결정의 전체 절차는 제외한다.

6. 자체 10점 문제

PV-B1에서 가능성 통지와 실제 유출등 통지·신고의 인지 시각 및 72시간 경계를 계산하고, PV-R1의 요청 종결과 파기 완료가 다른 이유를 설명하라.

어느 법정 요건을 언제 알았는지와 무엇을 셌는지를 먼저 적는다. 아래 문제·답안은 자체 교육 예시이며 실제 신고서나 공식 채점표가 아니다.

가능성과 실제 유출의 어느 요건을 언제 인지했는지 먼저 두 줄로 적고 각각 72시간을 더한다. 응답 종결 9건 중 실제 파기 7건과 적법 제한 안내 2건을 구별한다.

9/19 09:00 가능성 인지 → 9/22 09:00의 72시간 경계
9/20 15:00 실제 인지   → 9/23 15:00의 72시간 경계
기관 신고: 인원뿐 아니라 정보 유형·외부 불법 접근을 확인
권리 원장: 응답 종결 9/10 ≠ 실제 파기 7/10

7. 자체 25점 문제

문화강좌 센터의 개인정보 사건과 권리 요구에 PV-R2를 설계하라. 피해 제한·사실 분류, 통지·신고·추가 안내, 권리 처리, 담당·기록·예외·재시험과 종결 조건을 실제 결정으로 제시하라.

사고 대응 제품이나 법조문만 나열하지 말고 현재 알게 된 사실과 대장·실제 조치를 연결한다.

피해 제한·정보주체 통지·기관 신고·권리 요구를 별도 대장으로 적는다. 각각 확인 사실·미확인·담당·기한·실제 결과를 연결하고 가능성 안내 뒤 확정 또는 비유출 확인의 후속 처리를 설명한다.

8. 자기교정

조건 변경

일반 오발송 999명이 1000명으로 바뀌면? 다른 조건과 예외가 같다는 전제에서 규모에 따른 기관 신고 조건을 새로 충족한다. 앞서 통지·피해 제한이 필요 없었다는 뜻은 아니다. PV-B2의 판정 대상을 확인한다.

가능성 통지 후 실제 유출등이 없음을 확인하면? 그 사실을 즉시 알리고 기존 판단·확인 근거를 보존한다. 실제 유출 확정용 숫자를 억지로 만들지 않는다. 후속 안내를 적용한다.

진행 중 한 건도 사본 파기·결과 통지를 마치면? 응답 종결은 10/10=100%, 실제 파기는 8/10=80%다. 제한 사유로 삭제하지 않은 두 건이 파기 상태로 바뀐 것은 아니다. 요청 원장의 서로 다른 상태를 유지한다.

독립 확인: 요청을 닫았지만 자료를 지운 것은 아니라면

PV-R1의 진행 중 1건에서 사본 파기는 확인했지만 결과 통지는 아직 실패했다. 다른 9건의 상태는 그대로다. 실제 파기율과 응답 종결률을 계산하고 다음 작업을 답한다.

2026-10-05에는 국가법령정보센터의 시행령 제39조·제39조의3·제40조를 다시 대조했다. 표시 판본은 대통령령 제36671호·2026-09-11 시행이다. 실제 통지·가능성 통지·기관 신고의 시간과 예외를 서로 바꾸지 않는 기존 설명을 유지했다. 이 재확인은 아래 기존 원 관찰일을 갱신하거나 개별 사건의 실제 신고를 수행한 기록이 아니다.

근거와 한계

PV-C10은 법률 제21445호의 2026-09-11 시행 개인정보 보호법 제23조제2항·제34조와 대통령령 제36671호의 제39조·제39조의2·제39조의3·제40조를 근거로 한다. 기존 법령 원문 보존 출처 LAW-KR-PIPA-CURRENT와 LAW-KR-PIPA-DECREE-CURRENT를 재사용하며 그 자료의 원 관찰일을 갱신하지 않는다. 2026-09-19에 필요한 조문을 다시 읽었고, 개인정보위의 2026-09-10 시행 안내와 대조했다. 입법예고를 시행 중인 조문으로 대신하지 않았다.

PV-C11은 같은 법의 제28조의7·제35조~제38조 및 시행령 제41조·제43조·제44조·제46조에 한정한다. 개인정보 전송과 자동화된 결정 관련 권리의 모든 세부 요건·다른 법령·판례·실제 기간 특례는 별도로 확인한다. 법적 근거의 실재와 해당성은 실제 사건에서 검토해야 한다.

PV-B1·PV-B2·PV-R1·PV-R2와 표·도식·답안은 자체 작성이다. 실제 통지·기관 신고·법률 검토를 수행한 기록이 아니며 사람에 의한 독립 기술·권리·독자 승인을 뜻하지 않는다. 통지 예문을 실제 명단·비밀정보의 공개로 채우지 않는다.

회독의 핵심

어떤 사실을 언제 알았는지에서 통지·신고의 대상과 기한을 판단한다. 실제 유출등·법정 가능성·기관 신고를 구별하고 추가 안내와 피해 제한을 병행한다. 권리 요청은 본인·종류·법적 제한과 필요한 사본까지 확인하여 실제 결과로 닫는다. 이 장의 목적·통제·활용·대응은 모두 한 생명주기의 다른 부분이다.